如何保護 Trezor 免受網路釣魚攻擊？ （安全提示）

驗證官方購買管道

1. 請務必直接從 trezor.io 或官方網站上列出的授權經銷商購買 Trezor 設備。

2. 避免從第三方市場、社群媒體廣告或非官方 Telegram/Discord 群組購買。

3. 仔細檢查網域拼字法－「trezor-store.com」或「trezor-official.net」等拼字錯誤是常見的網路釣魚陷阱。

4. 在購買頁面輸入任何個人或付款資訊之前，請確認 HTTPS 和有效的 SSL 憑證。

5. 交貨後，檢查包裝是否有篡改跡象，例如密封破損、標籤不匹配或 USB 連接埠被更改。

安全韌體和恢復設置

1. 切勿透過電子郵件、簡訊或未經請求的通知收到的連結安裝韌體更新。

2. 驗證官方部落格上發布的 SHA256 校驗和後，請務必從 trezor.io/firmware 手動下載韌體。

3. 僅在 Trezor 裝置螢幕上產生 12 或 24 字的恢復種子 - 切勿將其輸入電腦或手機中。

4. 用筆和紙手工記下種子；切勿以數位方式儲存它或截取螢幕截圖。

5. 在設定過程中根據設備本身顯示的官方 BIP-39 單字清單仔細檢查每個單字。

交易確認最佳實踐

1. 請務必在 Trezor 畫面上驗證收件者地址、金額和網路費用，而不僅僅是在 MetaMask 或其他錢包 UI 中。

2. 拒絕設備顯示任何陌生合約地址或意外代幣符號的交易。

3. 除非絕對必要，並且只有在透過獨立研究確認外部工具的合法性之後，才禁用「盲簽名」。

4. 在最終批准之前，使用 Trezor Suite 的內建區塊鏈瀏覽器交叉檢查待處理的交易。

5. 如果設備提示確認但未顯示完整詳細信息，請立即斷開連接並調查 dApp 來源。

避免假錢包接口

1. 為 trezor.io 添加書籤，切勿透過缺乏經過驗證的網站徽章的搜尋引擎結果導航至該網站。

2. 切勿在任何 Web 表單中輸入您的復原短語或 PIN，即使該頁面看起來與 Trezor Suite 相同。

3. 僅從官方 Chrome Web Store 或 Firefox 附加元件頁面安裝 MetaMask 等瀏覽器擴展，而不是從 GitHub gists 或 Discord 檔案共用安裝。

4. 檢查 URL 欄是否有細微的拼字錯誤：「trezor-suite.app」、「trezorsuite.dev」或「trezor-login.net」都是惡意網域。

5. 啟用 Trezor 的密碼保護以新增僅存在於您記憶中的第二層驗證。

常見問題解答

Q：網路釣魚網站可以模仿 Trezor Suite 的登入畫面嗎？是的。攻擊者完美地複製介面（包括動畫和佈局），但攔截輸入虛假表單的憑證。 Trezor Suite 絕對不會要求您在線上提供恢復種子。

Q：在 Uniswap 等去中心化交易所中使用 Trezor 安全嗎？是的——如果您透過 WalletConnect 或直接 USB 連接並確認裝置上的每筆交易。在未先檢查智能合約地址的情況下，切勿批准無限的代幣配額。

Q：如果我在網路釣魚網站上輸入 PIN 碼，會發生什麼事？無任何內容 — PIN 碼僅在設備本地使用。但是，在任何網站上輸入恢復短語或密碼都會導致立即資產損失。

Q：Trezor 是否像 Ledger 一樣支援反網路釣魚單字清單？不會。 Trezor 依賴硬體隔離和手動驗證，而不是網域綁定的反網路釣魚字。其安全模型假設使用者在按下實體按鈕之前驗證所有螢幕上的資料。